Cloud Build触发器执行Terraform创建Firebase项目权限报错求助

核心问题分析 #

你遇到的两个错误本质是同一逻辑问题：

• roles/resourcemanager.projectCreator是组织或文件夹层级的IAM角色，无法绑定到单个GCP项目上，因此用gcloud projects add-iam-policy-binding执行授权会提示角色不支持。
• 服务账号创建GCP项目必须指定父级（组织或文件夹），否则会返回Service accounts cannot create projects without a parent的403错误。

解决步骤 #

1. 给Cloud Build服务账号绑定组织/文件夹层级的Project Creator权限 #

根据你的项目所属层级，选择对应命令执行授权：

组织层级授权命令：

gcloud organizations add-iam-policy-binding YOUR_ORGANIZATION_ID \
  --member serviceAccount:YOUR_CLOUDBUILD_SERVICE_ACCOUNT@cloudbuild.gserviceaccount.com \
  --role roles/resourcemanager.projectCreator

文件夹层级授权命令（若项目归属文件夹）：

gcloud resource-manager folders add-iam-policy-binding YOUR_FOLDER_ID \
  --member serviceAccount:YOUR_CLOUDBUILD_SERVICE_ACCOUNT@cloudbuild.gserviceaccount.com \
  --role roles/resourcemanager.projectCreator

2. 修正Terraform配置，指定项目父级 #

在google_project资源中添加parent字段，明确项目所属的组织或文件夹：

• 组织父级格式：organizations/ORG_ID
• 文件夹父级格式：folders/FOLDER_ID

修正后的google_project资源示例：

resource "google_project" "default" {
  provider   = google-beta.no_user_project_override

  name       = "Project Display Name"
  project_id = "imatsusoft-project-new-prct5"
  billing_account = "*****-******-******"
  # 替换为你的组织或文件夹ID
  parent     = "organizations/123456789012" 
  labels = {
    "firebase" = "enabled"
  }
}

3. 额外权限验证（可选） #

如果后续启用Firebase服务时出现权限问题，可给服务账号添加roles/firebase.admin角色（可绑定在组织/文件夹层级，或后续创建的项目上）：

# 组织层级绑定Firebase Admin权限
gcloud organizations add-iam-policy-binding YOUR_ORGANIZATION_ID \
  --member serviceAccount:YOUR_CLOUDBUILD_SERVICE_ACCOUNT@cloudbuild.gserviceaccount.com \
  --role roles/firebase.admin

为什么之前的授权命令无效？ #

roles/resourcemanager.projectCreator的作用是允许账号在指定的组织/文件夹下创建新项目，权限作用域是组织或文件夹，而非单个现有项目。直接给现有项目绑定该角色不符合GCP IAM的权限设计逻辑，因此会返回INVALID_ARGUMENT错误。

内容的提问来源于stack exchange，提问作者Kei